Wofür die PIN gedacht ist
Ein Support-Fall erreicht meist den Punkt, an dem die Person auf der anderen Seite wissen muss, dass sie mit dem tatsächlichen Kontoinhaber spricht. Genau dafür gibt es die GitLab Support-PIN. Sie ist ein Code, den der Kontoinhaber bei Bedarf erzeugt, damit der Support die Anfrage mit dem Konto abgleichen kann – und sie ist bewusst enger gefasst als ein Passwort.
Diese enge Zweckbindung ist gewollt. Ein Passwort öffnet das gesamte Konto. Ein Wiederherstellungscode kann den Zugang zurücksetzen. Eine öffentliche Benutzer-ID oder ein Profil-Handle ist für jeden sichtbar. Die PIN soll genau eine Frage beantworten – sind Sie der Inhaber? – und nichts weiter.
Bevor Sie etwas erzeugen: den Kanal prüfen
Beginnen Sie nicht mit einer Nachricht, in der Sie nach einem Code gefragt werden. Beginnen Sie mit dem Support-Kanal, den Sie unabhängig bestätigen können, und eröffnen Sie den Fall von dort aus.
- Stellen Sie sicher, dass ein echter offener Support-Fall vorliegt und Sie wissen, wie er eröffnet wurde. Wenn Sie ihn nicht selbst eröffnet haben, behandeln Sie die Anfrage als unbestätigt, bis Sie sie auf anderem Weg bestätigen können.
- Wenden Sie sich über einen Weg an den Support, den Sie selbst kontrollieren – den Support-Zugang, den Sie ohnehin nutzen – und nicht über einen Link oder eine Adresse aus einer unerwarteten Nachricht.
- Prüfen Sie, wer fragt. Eine unaufgeforderte Anfrage nach der PIN oder eine, die Sie zu einer schnellen Antwort drängt, ist ein Grund, langsamer zu werden – nicht, ihr nachzukommen.
- Bleiben Sie im bestätigten Kanal. Ein Wechsel zu einer neuen Adresse oder einem neuen Thread auf Wunsch einer anderen Person macht die gerade durchgeführte Prüfung zunichte.
Keine Nachricht ist automatisch vertrauenswürdig, nur weil sie offiziell aussieht. Die Überprüfung liegt bei Ihnen, und genau sie macht die PIN sicher einsetzbar.
Die PIN erzeugen
Wenn Sie überzeugt sind, dass der Fall echt ist, erzeugen Sie die PIN selbst, während Sie als Inhaber angemeldet sind.
Ein Inhaber kann „Profil bearbeiten“, „Konto“ öffnen und dort „Neue PIN erzeugen“ wählen. Quelle
Die PIN erstellen Sie in Ihren eigenen Kontoeinstellungen. Sie erhalten sie nicht vom Support, und der Support kann sie nicht für Sie erzeugen. Wenn Ihnen jemand anbietet, eine PIN in Ihrem Namen zu erzeugen, ist das ein Widerspruch, den es zu bemerken gilt.
Verstehen, wie lange sie gilt
Eine Support-PIN läuft sieben Tage nach ihrer Erstellung ab und kann in denselben Kontoeinstellungen eingesehen werden. Quelle
Der Ablauf ist eine fest eingebaute Grenze, kein Vorschlag. Erzeugen Sie die PIN dann, wenn das Support-Gespräch sie tatsächlich braucht, nicht Tage im Voraus, und prüfen Sie dieselbe Einstellungsseite, wenn Sie unsicher sind, ob eine frühere PIN noch gültig ist.
Wonach der Support fragen darf
Der GitLab-Support kann nach einer Support-PIN fragen, um die Identität des Kontoinhabers zu bestätigen. Quelle
Beachten Sie die Richtung dieser Anfrage: Der Support fragt, Sie liefern, und der Zweck ist die Bestätigung, dass Sie das Konto innehaben. Es ist eine Identitätsprüfung, keine Übertragung der Kontrolle.
Die PIN von allem anderen getrennt halten
| Element | Was es bewirken kann | Wie Sie es in einem Support-Fall behandeln sollten |
|---|---|---|
| Passwort | Meldet Sie beim Konto an | Niemals an den Support senden, in keinem Kanal |
| Wiederherstellungscode | Kann den Zugang zum Konto wiederherstellen | Privat halten; er ist kein Support-Verifizierungstoken |
| Öffentliche Benutzer-ID oder Handle | Identifiziert das Profil für jeden | Kann genannt werden, beweist aber für sich genommen nichts |
| Support-PIN | Ermöglicht dem Support, den Kontoinhaber zu bestätigen | Nur im bestätigten Support-Gespräch weitergeben, und nur solange sie gültig ist |
Eine PIN, die an die falsche Stelle gelangt, ist trotzdem ein Leck – auch wenn sie weniger mächtig ist als ein Passwort. Behandeln Sie sie in den Tagen, in denen sie gültig bleibt, als sensibel.
Fehlerfälle, auf die Sie vorbereitet sein sollten
- Die PIN ist abgelaufen. Erzeugen Sie in denselben Kontoeinstellungen eine neue und fahren Sie im bestätigten Thread fort. Verwenden Sie keinen alten Wert wieder und fügen Sie ihn nicht in ein anderes Gespräch ein.
- Die Anfrage kam aus einer unerwarteten Nachricht. Stopp. Bestätigen Sie den Fall über einen Kanal, den Sie selbst gewählt haben, und behandeln Sie die ursprüngliche Nachricht als unbestätigt.
- Jemand bittet um Ihr Passwort, einen Wiederherstellungscode oder eine von ihm erzeugte PIN. Lehnen Sie ab. Nichts davon gehört in eine legitime Identitätsprüfung.
- Sie sind unsicher, ob der Fall echt ist. Senden Sie die PIN nicht, solange Unsicherheit besteht. Klären Sie zuerst die Frage des Kanals; die PIN kann warten.
- Sie haben eine PIN bereits außerhalb eines bestätigten Gesprächs weitergegeben. Kehren Sie zu Ihren Kontoeinstellungen zurück, prüfen Sie die PIN und lassen Sie sie ablaufen, statt anzunehmen, die Offenlegung sei harmlos.
Eine kurze Checkliste
- Ich habe bestätigt, dass der Support-Fall existiert, und weiß, wie er begonnen hat.
- Ich habe den Support über einen Weg erreicht, den ich selbst gewählt habe, nicht über einen aus einer unerwarteten Nachricht.
- Ich bin als Kontoinhaber angemeldet und habe die PIN selbst erzeugt.
- Ich habe geprüft, wann die PIN erstellt wurde und ob sie noch innerhalb ihrer Gültigkeitsdauer liegt.
- Ich gebe die PIN nur im bestätigten Gespräch weiter und habe kein Passwort und keinen Wiederherstellungscode gesendet.
- Ich weiß, was ich tue, wenn die PIN mitten im Fall abläuft.
Nächster Schritt, wenn der Kontakt selbst zweifelhaft ist
Die PIN hilft erst, wenn Sie dem Gespräch vertrauen. Wenn der Kontakt über soziale Medien oder eine Direktnachricht kam und Sie noch entscheiden, ob die Person echt ist, klären Sie zuerst die Frage des Kanals mit unserem Leitfaden zum Erkennen gefälschter Social-Media-Konten von Kundensupport. Kommen Sie zur PIN zurück, sobald der Support-Kanal bestätigt ist.
Eine Benutzernamenssuche kann eine solche Kanalprüfung unterstützen, indem sie öffentliche Profile mit einem ähnlichen Handle sichtbar macht – aber ein Treffer ist ein Hinweis, kein Beweis dafür, wer hinter einem Konto steckt. Die Entscheidung hängt weiterhin am bestätigten Support-Weg, nicht an einem Profil, das passend aussieht.